1週間前、GoogleはChrome 76をリリースした。これには、ブラウザのユーザーがシークレット モードを有効にしたことをウェブサイトが検出できないようにするための変更が含まれていた。
残念ながら、このウェブ巨人による修正によって、別の場所に新たな穴が開いてしまいました。シークレットモードの使用状況を推測できるタイミング攻撃が可能になってしまったのです。
日曜日、開発者のジェシー・リー氏は、Chrome の FileSystem API を使用して Chrome ユーザーがシークレット モードを有効にしたことを検出する新しい方法について説明しました。このソフトウェア インターフェースを使用して、ファイルをディスクに書き込むことができる速度をベンチマークすることが可能です。
この手法は、セキュリティ研究者のヴィカス・ミシュラ氏が先月提案した手法に類似しています。ミシュラ氏は、ブラウザの一時ストレージと永続ストレージを管理するQuota Management APIを利用して、シークレットモードの有無を推測できることを発見しました。
Chromeのシークレットモードは、ユーザーのオンライン上での匿名性を保つように聞こえますが、実際にはそうではありません。シークレットモードは、閲覧アクティビティが履歴ログに保存されないようにし、シークレットセッション終了時にローカルHTTP Cookieとサイトデータをメモリから消去するだけです（ローカルストレージにデータを書き込むのではなく）。その目的は、同じデバイスで同じブラウザを使用している他のユーザーが、過去の閲覧セッションのブラウザ内記録を閲覧できないようにすることです。
ペイウォールを導入しているウェブパブリッシャーは、シークレットモードを嫌っています。これは、Cookieの設定を妨げ、非課金訪問者による記事閲覧を制限するためです。こうしたフリーローディングに対抗するため、一部のペイウォール付きウェブサイトでは、ChromeユーザーがFileSystem APIにアクセスできるかどうかを検知するコードが組み込まれています。このAPIは、シークレットモードが有効になっている間は無効化されていました。
この不整合を解消するため、Googleのエンジニアは昨年3月、シークレットモードが有効になっているときにFileSystem APIを利用できるようにする計画を提案しました。この変更はChrome 74でフラグ付きで導入され、Chrome 76ではデフォルトで有効になりました。しかし、シークレットモードは依然として検出可能です。
シークレットモードでは、卑猥なサイトがあなたの変態的な嗜好をFacebook、Google、そしてOracleと共有するのを阻止できない
続きを読む
Li氏が発見したのは、シークレットモードが有効な場合、FileSystem APIのパフォーマンスが異なることでした。Li氏は一連の書き込み速度ベンチマークを実施することで、通常の書き込み操作はより不規則になり、シークレットモードが有効な場合の書き込み操作よりも約3～4倍の時間がかかることを実証しました。ソースコードはGitHubで公開されています。
この手法は、FileSystem APIが利用可能かどうかを判断するよりも遅く、信頼性も低くなります。測定には数十秒かかり、ハードウェア構成の違いによってタイミングデータも影響を受けるためです。しかし、Li氏は、シークレットモードではデータがメモリに保存されるのに対し、通常モードではデータがディスクに保存されるため、この問題の修正は困難だと主張しています。
「この攻撃を防ぐ唯一の方法は、シークレットモードと通常モードの両方で同じストレージメディアを使用し、APIが常に同じ速度で実行されるようにすることです」とLi氏は書いている。
Google の設計文書では、Chrome のエンジニアリング ディレクターの Jochen Eisinger 氏が、シークレット モードがアクティブなときにメタデータとファイルの両方をメモリに保存するのではなく、メタデータのみをメモリに保存し、ファイルをディスクに暗号化することでタイミング攻撃に対処できると示唆しています。
Googleは、シークレットモードに関するタイミングとストレージベースの推論を防ぐためにこの代替アプローチを検討する予定があるかどうかについてのコメント要請に応じなかった。
しかし、リー氏は、別の戦略がプライバシーの向上につながるかどうかについては懐疑的だ。「この方法は私たちの攻撃には耐性があるものの、メタデータが残ってしまいます。データ自体は復号できなくても、その存在自体がシークレットモードでの使用の証拠となり、ユーザーが最後にシークレットモードを使用した日時やディスクに書き込んだデータのおおよそのサイズが漏れてしまうのです」とリー氏の投稿は主張している。
アイジンガー氏によると、Google は FileSystem API を廃止し、最終的には削除する予定です。これは、他のブラウザ ベンダーに採用されておらず、主にシークレット モードの検出に使用されていると思われるためです。®
